[发明专利]恶意代码检测方法及装置

权利要求书

1.一种恶意代码检测方法，其特征在于，包括：

获取目标代码，提取所述目标代码的动态行为数据；

将所述目标代码的动态行为数据输入恶意代码识别模型，检测出所述目标代码是否为恶意代码；

其中，所述恶意代码识别模型是利用机器学习算法、对从恶意代码样本中提取的动态行为数据进行训练后生成的。

2.根据权利要求1所述的恶意代码检测方法，其特征在于，所述提取所述目标代码的动态行为数据，包括：

将所述目标代码在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有应用程序编程接口API进行调用的操作，触发并提取所述目标代码产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

3.根据权利要求1所述的恶意代码检测方法，其特征在于，在将所述目标代码的动态行为数据输入恶意代码识别模型，检测出所述目标代码是否为恶意代码之前，所述方法还包括：

获取恶意代码样本；

提取所述恶意代码样本的动态行为数据；

利用机器学习算法，对所述动态行为数据进行训练，生成恶意代码识别模型。

4.根据权利要求3所述的恶意代码检测方法，其特征在于，所述提取所述恶意代码样本的动态行为数据，包括：

将所述恶意代码样本在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有API进行调用的操作，触发并提取所述恶意代码样本产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

5.一种恶意代码检测装置，其特征在于，包括：

第一获取模块，用于获取目标代码，提取所述目标代码的动态行为数据；

检测模块，用于将所述目标代码的动态行为数据输入恶意代码识别模型，检测出所述目标代码是否为恶意代码；

其中，所述恶意代码识别模型是利用机器学习算法、对从恶意代码样本中提取的动态行为数据进行训练后生成的。

6.根据权利要求5所述的恶意代码检测装置，其特征在于，所述第一获取模块，具体用于

获取目标代码；将所述目标代码在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有应用程序编程接口API进行调用的操作，触发并提取所述目标代码产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

7.根据权利要求5所述的恶意代码检测装置，其特征在于，所述装置还包括：

第二获取模块，用于获取恶意代码样本；

提取模块，用于提取所述恶意代码样本的动态行为数据；

训练模块，用于利用机器学习算法，对所述动态行为数据进行训练，生成恶意代码识别模型。

8.根据权利要求7所述的恶意代码检测装置，其特征在于，所述提取模块，具体用于

将所述恶意代码样本在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有API进行调用的操作，触发并提取所述恶意代码样本产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至4任一项所述恶意代码检测方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至4任一项所述恶意代码检测方法的步骤。